Tiến trình cha

Tìm thấy một chương trình không mong muốn mới chỉ là bước đầu. Bạn cũng cần biết chương trình đó khởi chạy như thế nào. Tiến trình cha là chương trình đã khởi chạy một chương trình khác.

Xem tiến trình cha trong bản ghi luyện tập này:

seclab inspect processes demo-helper

Tìm các dòng sau:

demo-helper:
  Parent process: demo-browser

Ở đây, demo-browser đã khởi chạy demo-helper. Hãy đọc bản ghi của trình duyệt trước khi kết luận:

seclab inspect processes demo-browser

Bạn sẽ thấy:

demo-browser:
  Machine: practice-laptop
  User: maya
  File: demo-browser
  Parent process: -
  Running: yes
  Command: /opt/lumen/demo-browser

Một trình duyệt được phê duyệt vẫn có thể khởi chạy một tệp tải xuống không an toàn. Điều đó không có nghĩa là cần gỡ bỏ chính trình duyệt. Mối liên hệ này cho bạn biết nên điều tra điều gì tiếp theo: người đó đã mở hoặc tải xuống nội dung nào.

Dùng tên tiến trình cha khi ghi lại phát hiện của bạn:

seclab answer parent demo-browser

Bạn sẽ thấy:

Recorded your answer to parent.